Почему взлом замечают поздно
Классика жанра: компания узнаёт о том, что её инфраструктуру взломали, из письма вымогателей, из уведомления регулятора или вообще от журналистов. По многолетним отчётам ИБ-вендоров и CERT-команд разрыв между проникновением и обнаружением измеряется неделями и месяцами, а в отдельных случаях — годами. Дело не в том, что защита «плохая». Реальный взлом почти никогда не выглядит как в кино, с мигающими красными лампами — он выглядит как обычная рабочая активность. Поэтому ловить приходится не саму атаку, а отклонения от нормы.
Ниже — практический разбор признаков, которые в реальных инцидентах всплывали раньше всего. Я разложил их по зонам: учётные записи, сеть, конечные точки, приложения и данные, а также CI/CD и облако.
Признаки на уровне учётных записей
Большинство вторжений начинается с легитимных учёток — украденных, переиспользованных или подобранных. Поэтому первое место, куда стоит смотреть, — журналы входов и выдачи прав.
- Всплеск неуспешных попыток входа, особенно по одному логину из разных геолокаций.
- Успешный вход в нехарактерное время или с нового IP/устройства без явной причины.
- Новые учётные записи, сервисные аккаунты и API-токены, о которых вы не знали.
- Резкий рост прав: добавление в группу администраторов, выдача ролей в облаке.
- Смена способов аутентификации: новый MFA-фактор, отключение второй защиты для отдельных пользователей.
- Массовый сброс паролей или «забыл пароль» сразу по списку сотрудников.
- «Невозможные перемещения» — вход из Москвы и через десять минут из другой страны.
Отдельно смотрите на сервисные записи. Их редко проверяют, у них широкие права и нет владельца, который бы заметил странность. Именно поэтому они любимы атакующими.
Сетевые и инфраструктурные признаки
Сеть связывает всё остальное, и там вторжение почти всегда оставляет следы.
- Исходящие соединения на нетипичные адреса и порты: сервер вдруг стучится наружу туда, где у вас нет ни пользователей, ни партнёров.
- Устойчивые периодические соединения с одинаковым интервалом — картина канала управления (C2).
- Резкий рост исходящего трафика ночью или в выходные, когда бизнес-активности нет.
- Изменения в правилах фильтрации, открытые порты, появившиеся туннели и прокси.
- Правки в конфигурации VPN, DNS или межсетевого экрана, которых никто не заказывал.
- Подозрительная активность в DNS: длинные случайные поддомены, всплеск запросов к одному имени.
Полезная привычка — держать базовый профиль нормального трафика. Без него «аномалия» — это просто цифра, которую не с чем сравнить.
Что выдаёт себя на конечных точках
- Незнакомые процессы с правами system/root, запущенные из временных каталогов.
- Задачи в планировщике и сервисы, которых вы не создавали, — классический способ закрепиться.
- Новые локальные администраторы и скрытые учётные записи.
- Отключённый или «сломавшийся» антивирус и EDR, ошибки обновления агентов без причины.
- Один и тот же «свежий» файл, размноженный по десяткам хостов за короткое время.
- Выросшие до предела CPU, диск или сеть при отсутствии внятной причины.
Не путайте это с шумом: легитимное админское ПО выглядит похоже. Смысл появляется, когда вы смотрите не на один признак, а на их связку во времени и пространстве.
Приложение, данные и цепочка поставки
- Изменённые конфигурации приложений, включённый отладочный режим на проде, отключённые проверки.
- Появление в коде и артефактах сборки того, что вы не коммитили: новые зависимости, странные пост-установочные скрипты.
- Аномальные обращения к базе: массовое чтение таблиц, выгрузки, доступ к данным вне обычных сценариев.
- Подмена реквизитов в платёжных документах, правки в шаблонах писем клиентам.
- Внезапные изменения в CI/CD: новые пайплайны, токены деплоя, ключи подписи, доступ к реестрам образов.
- Правки в бэкапах или их удаление — тревожный звонок прямо перед шифрованием.
Отдельно про supply chain (цепочку поставки): если атакуют не вас, а вашего подрядчика или библиотеку, вы узнаете об этом по логам зависимостей. Держите инвентаризацию и SBOM, иначе расследовать будет попросту нечего.
Косвенные признаки: люди и бизнес
Иногда систему сдают не логи, а коллеги. На это стоит настроить уши не меньше, чем на метрики.
- Клиенты жалуются на странные письма от вашего имени, которых вы не рассылали.
- Сотрудники замечают «тормоза» почты и странное поведение файлов при исправном железе.
- Обслуживание стало без причины занимать больше времени, чем обычно.
- Партнёры уточняют, не меняли ли вы реквизиты и контакты.
- В публичном доступе всплывают данные, похожие на ваши.
Такие сигналы легко отмахнуться как от «жалоб», но именно они чаще всего и запускают расследование.
Что делать, если признаки нашлись
- Не тушите симптом. Сначала сохраните доказательства: логи, дампы, снимки дисков и памяти до перезагрузки.
- Изолируйте затронутые узлы от сети, но не выключайте их — иначе потеряете следы в оперативной памяти.
- Зафиксируйте временную шкалу. Даже черновая она потом сэкономит дни.
- Проверьте бэкапы: они целы и когда вы последний раз реально восстанавливались из них?
- Привлекайте тех, у кого есть полномочия и опыт: внутренняя команда, внешние IR-подрядчики, при необходимости — правоохранители.
- Не рассылайте детали инцидента в общий чат. Атакующий может читать вашу переписку.
- Смените все учётные данные, которые могли утечь, начиная с привилегированных. Отзовите токены и ключи.
Собираем в чек-лист
Чтобы не держать всё в голове, сведите мониторинг к короткому регулярному списку. Ориентироваться на общие модели поведения атакующих удобно по открытым базам вроде MITRE ATT&CK.
- Ежедневно: алерты по неуспешным входам, новым администраторам, отключённому MFA.
- Ежедневно: нетипичные исходящие соединения и всплески трафика вне рабочего времени.
- Еженедельно: сверка списка учётных и сервисных записей с реальностью.
- Еженедельно: целостность критичных файлов, задач в планировщике, правил фильтрации.
- Ежемесячно: тест восстановления из бэкапов, а не просто «бэкап прошёл».
- Постоянно: инвентаризация зависимостей и обновления по критичным CVE.
И главное. Любой SIEM без настроенных под вашу инфраструктуру правил — это дорогое хранилище логов. Магической кнопки «покажи взлом» не существует: детект строится из понимания, как выглядит норма именно у вас, и из привычки регулярно в эту норму заглядывать. Начните с простого — выпишите десяток событий, которых не должно быть никогда, и настройте алерты на них.
